Il diritto all’oblio consiste genericamente nel diritto alla dimenticanza di ciò che riteniamo non appartenga più alla nostra identità personale e nella sua lunga evoluzione (il right to be let alone nasce nel 1890 ad opera dei giuristi bostoniani Warren e Brandeis) ha dato natale ad altri diritti, quale il diritto alla cancellazione dei dati personali e il diritto alla deindicizzazione, che ne costituiscono species.
Il diritto all’oblio ha natura complessa e duplice: esso è, al contempo, situazione giuridica soggettiva e diritto soggettivo. Sotto quest’ultimo profilo, esso può definirsi, più in particolare, come la estrinsecazione del diritto alla riservatezza in relazione a circostanze che nel momento in cui si sono verificate, per vari motivi – soggettivi e/o oggettivi -, non rientravano nell’ambito della tutela della privacy, ma che in un secondo momento, non sussistendo più l’interesse alla conservazione e alla fruibilità della relativa informazione, entrano a far parte del diritto alla riservatezza.
Ciò premesso, nell’alveo del diritto all’oblio come si declinano l’esercizio e la tutela del diritto alla cancellazione dei dati personali e del diritto alla deindicizzazione?
La norma di riferimento è l’art. 17 del Reg. Eu. 679/2016 (G.D.P.R.) intitolato, sibillinamente, “Diritto alla cancellazione (<<diritto all’oblio>>)”.
Il par. 1 del predetto art 17 enumera le motivazioni che fondano il diritto dell’interessato alla cancellazione dei dati personali: essi non sono più necessari rispetto alle finalità per le quali sono stati raccolti e/o trattati; è intervenuta revoca del consenso e non sussiste altra base giuridica; v’è stata opposizione al trattamento; sono stati trattati illecitamente; devono essere cancellati per adempiere un obbligo giuridico; sono stati raccolti relativamente all’offerta diretta di servizi della società dell’informazione a soggetti minori (v. art. 8 G.D.P.R.).
Lo sharing dell’informazione, di qualsivoglia natura essa sia, che pervade la nostra quotidianità comporta però il problema non tanto del diritto cancellazione dei contenuti condivisi dalle fonti originarie (che trova tutela nel richiamato par. 1 art. 17 G.D.P.R.), quanto da quelle secondarie, le cui ripubblicazioni rischiano di restare sempre fruibili.
In tale contesto il libero arbitro dell’interessato si muove sui molteplici ed accidentati territori del diritto alla pubblica auto-esposizione e reputazione virtuale personale che confligge con il corrispondente e contrapposto diritto all’informazione collettiva, con buona pace del diritto alla memoria.
Al riguardo, il par. 2 art. 17 G.D.P.R. pone in capo al titolare del trattamento che ha reso pubblici i dati personali un ulteriore obbligo: egli è tenuto, non solo a cancellarli, ma altresì ad adottare le misure ragionevoli, anche tecniche, per informare altri titolari che stanno trattando quei dati della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei dati medesimi, in modo tale che anche costoro provvedano alla loro cancellazione.
Si tratta del c.d. diritto alla deindicizzazione, la cui tutela effettiva appare tuttavia alquanto ardua da ottenere per via della sua intrinseca difficoltà di adempimento, difficoltà della quale lo stesso legislatore europeo è conscio tant’è che, con l’inciso “tenendo conto della tecnologia disponibile e dei costi di attuazione” ne riduce, di fatto, la portata.
Diritto all’auto-esposizione e reputazione virtuale personale, da un lato, e diritto all’informazione collettiva, dall’altro. Quale tra questi due deve cedere il passo all’altro, e in quali casi? Quando la tutela dell’uno è più meritevole della tutela dell’altro?
Non v’è una risposta univoca a tale domanda; in concreto, ogni singola fattispecie deve essere risolta ricorrendo al delicato bilanciamento degli interessi e diritti, soggettivi e collettivi, che nel singolo caso sono chiamati in causa.
L’obbligato ricorso a tale criterio, sancito dalla nota pronucia della Corte di Giustizia del 2014 nel caso Google e Google Spain c. Costeja, e riaffermato da altra pronuncia della medesima Corte del settembre 2019 nel caso Google c. CNIL che ne ha definito l’estensione territoriale, è stato ulteriormente ribadito dalle Guidelines 5/2019 on the criteria of the Right to be Forgotten adottate dall’EDPB nel luglio 2020, con le quali Comitato ha fornito alle Autorità di controllo degli stati membri indicazioni ed elementi utili all’individuazione del punto di equilibrio tra diritto di accesso all’informazione e diritti dell’interessato per la risoluzione delle controvesie in tale materia (https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-52019-criteria-right-be-forgotten-search-engines_it).
<fonte immagine: MRWitnews>